安全不是附加功能。
它是整个架构的基础。
NoirLock 专为密码、密钥、恢复短语、访问代码、API 令牌、银行卡、身份证件、SSH 密钥以及其他比普通存储更有价值的信息而构建。敏感数据在保存或同步之前会在你的设备上进行加密。 NoirLock 没有专有的保险库服务器，从不存储你的主密码，并且没有绕过加密的特权机制。
设计安全
四项原则支撑整个设计。
设备端加密
NoirLock 在持久化或同步之前对敏感数据进行加密。保险库解锁后，解密仅发生在授权设备上。你的主密码和未加密的保险库内容不会发送到 NoirLock — 没有保险库服务可以接收它们。
每个条目都有独立的加密密钥
每个保险库项目均受到其自己随机生成的 256 位数据加密密钥的保护，并由使用经过身份验证的加密的保险库密钥单独封装。记录彼此隔离，已删除项目的包装键已从活动键层次结构中删除。
多主密码
每个新保险库都会获得一个独立生成的 256 位 Secret Key。在使用 Argon2id 派生密钥之前，NoirLock 会将它与主密码结合，从而加入不依赖于用户可记忆密码的高熵随机性。
硬件支持的生物识别
Face ID 和 Touch ID 通过 Secure Enclave 内部生成的私有 EC-P256 密钥提供方便的本地访问。私钥不会离开受保护的硬件，并且生物识别注册更改会使生物识别解锁路径无效。
密钥架构
从凭据到加密保险库项目的全过程。
NoirLock 使用目的分离的密钥和经过身份验证的元数据。记录身份、类型、格式版本和修订以加密方式绑定到每个加密信封。未经授权的更改会导致身份验证失败，而不是返回修改后的明文。
你的凭据
主密码 + 随机 256 位 Secret Key
密钥派生
Argon2id v1.3 — 64 MiB，3 遍，并行度 1
目的分离
HKDF-SHA-256 专用键
保险库密钥
AES-256-GCM 包装随机 256 位保险库密钥
项目密钥
AES-256-GCM 包装随机每项密钥
你的数据
AES-256-GCM 加密密码、注释、TOTP 种子、密钥或秘密
密码学
加密技术配置。
保险库项目加密
AES-256-GCM
保密性和完整性
项目密钥
每个项目的随机 256 位密钥
物品隔离和关键生命周期控制
密码推导
Argon2id v1.3，64 MiB，3 次，p=1
内存硬抗离线猜测
独立密钥材料
随机 256 位 Secret Key
与主密码无关的熵
目的分离
HKDF-SHA-256
单独的包装和验证密钥
生物识别保护
Secure Enclave EC-P256 与 ECIES
硬件支持本地便捷解锁
一次性密码
RFC 6238 TOTP
基于标准的本地认证码
通行密钥
WebAuthn/FIDO2 with ES256
防钓鱼凭证
文件附件
AES-256-GCM 带有每个附件密钥
加密文件绑定到其条目
Private Space
单独的 Argon2id 派生密钥层次结构
与主保险库密钥
默认保护
保护的不只是密码字段。
NoirLock 的经过身份验证的加密有效负载涵盖记录的每个部分，而不仅仅是秘密本身。从登录到身份证明文件再到文件附件，整个记录都受到保护。
搜索仅在保险库解锁时可用。它针对从受保护的元数据构建的内存中索引而不是持久的纯文本搜索索引运行。
Secret Key
两种保护模式，由你选择合适的平衡。
根据需要选择保护模式：在已登记的设备上便捷访问，或对 Secret Key 进行更严格的隔离。
标准
默认方便
Secret Key 的仅设备副本受 Apple Keychain 保护，并且不同步。这可以在已注册的设备上实现基于密码的手动解锁，同时保留新设备注册的 Secret Key 要求。
高级
更严格的分离
Secret Key 不保留用于手动解锁。每当需要手动解锁时，你都可以将其与主密码一起提供。高级模式为独立维护 Secret Key 的用户提供更强的分离。
Secret Key 包含一个校验和以帮助检测转录错误。将经过验证的备份保存在与日常设备分开的安全位置。
Secure Enclave
生物识别解锁，不暴露密钥。
NoirLock 直接在 Secure Enclave 内部生成 EC-P256 密钥对。生物识别技术是一个便利层，而不是保险库凭证的替代品。如果生物识别授权被取消、不可用或失效，NoirLock 保持锁定状态并返回到手动解锁流程。
- 应用无法导出私钥
- 仅在生物识别授权后才发布用于加密用途
- 与当前Face ID或Touch ID注册
- 生物识别注册更改时变得不可用
验证保险库凭据后，可在设置中重新启用 Face ID 或 Touch ID。生物识别可与 Duress Unlock 同时配置，但被迫进行生物识别解锁可能在使用胁迫代码前打开真实保险库。胁迫解锁后，手动解锁真实保险库不会自动重新启用生物识别。
Private Space 和 Pro 保护
不仅防盗，也应对被迫解锁。
大多数保险库安全性都假设攻击者是远程的。 NoirLock Pro 增加了对设备在他人手中或要求持有设备的人解锁的情况的保护。
Privacy Eye
在设备端运行的防旁观保护。当相机画面中出现另一张面孔时，NoirLock 可以隐藏敏感内容或自动锁定保险库。
人脸检测完全在你的设备上进行。相机画面绝不会保存或传输，NoirLock 也不会识别人员身份。
Private Space
使用独立密码和恢复密钥派生出完全分离的密钥层级。解锁主保险库不会打开此空间，其中的条目也不会出现在主保险库列表、搜索结果或 AutoFill 中。
Travel Mode
所选类别会从整个 App 中隐藏。此模式只能在 Private Space 内控制，因此无法通过设备的可见状态判断它是否已启用。
Duress Unlock
使用独立代码打开诱饵保险库，真实保险库保持封闭。使用后会禁用本机生物识别解锁并撤销 AutoFill 访问。真实条目、附件和草稿与诱饵保险库保持隔离。
Panic Wipe
达到设定的解锁失败次数后，本设备上的保险库数据会被抹掉。之后可使用保险库凭据重新注册设备，并从你自己的 iCloud 恢复数据。
Self-destructing entries
每个条目都可以设置到期日期。到期后，它会通过与其他变更相同的身份验证同步通道，从你的所有设备中删除。
Emergency Access
可信联系人只有在你设定的等待期结束后，才能访问指定类别。等待期间，你可以随时取消请求。
Secure Sharing
通过支持有效期、查看次数限制和撤销的端到端加密链接分享条目。请选择可信的接收者，因为对方可以保留所分享信息的副本。
启用与相机访问
在 iPhone、iPad 和 Mac 上，Privacy Eye 默认关闭。你需要在每台设备上单独开启，并明确授予相机访问权限；功能运行时，系统会显示标准的相机使用指示标志。
Privacy Eye 使用说明
Privacy Eye 与 Face ID、Touch ID 和自动锁定协同工作。为确保稳定的人脸检测，请保持充足光线，并让面部无遮挡地处于摄像头视野内。
这些功能改变了攻击者在他们控制的设备上可以达到的范围。它们不会改变基本保证：没有你的凭据，加密数据仍保持加密状态。
Hardened Mode
一键启用最严格的保护。
安全选项仅在实际启用时才有用。 Hardened Mode 将最严格的可用设置一起应用，因此谨慎的配置并不依赖于记住找到每一项。
- iCloud 同步已禁用
- AutoFill 限制为其最大安全行为
- 剪贴板保留在该设备的本地
- 当App离开前台时立即锁定
私人同步
通过你的 iCloud 进行零知识同步。
NoirLock 是本地优先，不需要 NoirLock 账户。启用 iCloud 同步后，加密的保险库记录将通过你的私有 CloudKit 数据库进行同步。
授权 Apple 设备
在设备
私有 CloudKit 数据库
仅加密记录
已注册 Apple 设备
本地认证解密
NoirLock 不上传主密码、明文保险库密钥或解密的保险库内容。新设备上的加密保险库标头不会自行授予访问权限：注册仍需要用户的保险库凭据和 Secret Key。
传入记录在替换本地状态之前经过验证和身份验证。 NoirLock 还可以离线工作，使你无需依赖实时连接即可访问和更新你的保险库。
离线泄露检查
检查泄露。无需制造新的泄露。
内置离线检查基于 1,000 万个常见泄露密码。输入或粘贴时即可收到警告。生成器也会在显示、复制或插入前检查候选密码。无需下载数据库。不发送密码、哈希或前缀。
检查在你的设备上自动进行。结果保存在加密条目中。内置数据库随应用新版本一同更新。
AutoFill 和密钥
AutoFill 无需暴露主保险库。
AutoFill 扩展不接收主保险库数据库或主保险库密钥。它使用专为凭证填充而设计的单独加密投影。域匹配检查规范的主机关系并拒绝欺骗性的相似域；对于密钥，NoirLock 要求依赖方身份与凭证的注册范围相匹配。
密码
一个登录条目可包含多个网站，为域名及其子域名、完全匹配的主机提供建议，或关闭建议。应用锁定后，标准 AutoFill 仍可通过系统认证使用。最高安全模式会在锁定时移除 AutoFill 数据。
一次性代码
TOTP 密钥以加密形式存储，验证码在本地计算。iOS 18 支持将用户名、密码和验证码插入文本框。验证器设置链接可创建验证码条目或添加到现有登录条目。
通行密钥
通行密钥的私钥采用逐条目加密。在标准模式下启用后，兼容网站和应用可在最近一次使用 NoirLock 密码登录后请求自动升级。最高安全模式会禁用自动升级。通行密钥的依赖方范围仍会被严格验证。
隐私
旨在保护信息，而不是通过行为获利。
当保险库锁定时，解密的界面状态和敏感输入字段将被清除。当App移至后台或屏幕被捕获时，也会应用隐私保护。
应用生命周期
在日常使用中提供保护。
- 手动、自动锁紧
- 活动前台状态
- 截图及录屏保护流程
- 可选的仅限本地剪贴板行为
- 当保险库锁定
- 多次解锁尝试失败后持续渐进式延迟
- 加密草稿恢复而不是明文自动保存
- 锁定
- Hardened Mode 作为单个开关，用于最严格的选项
- 重复尝试解锁失败后可选的设备擦除
备份和迁移
加密导出，验证导入。
加密归档在导入前会验证真实性。备份包含附件和嵌套分类，旧归档格式仍可读取。恢复已删除条目会创建新记录，而非撤销原始删除。中断的大批量导入会保留未解决的恢复状态。
CSV 和 1PUX 导入在本地处理，保存前可审核。重复项可合并或跳过。10 分钟内撤销可移除新建条目，合并到现有条目的补充信息会保留。未完成的清理会继续记录，以便再次恢复处理。
使用强大、唯一的密码保护导出的存档并将其存储在受信任的位置 - 并在迁移完成后从以前的密码管理器中删除导出文件。
Credential Exchange
你的密码。自由迁移。
在 NoirLock 与兼容密码管理器之间直接传输密码、通行密钥和验证码，包括 Apple「密码」。Credential Exchange 使用系统传输流程，无需明文导出文件。适用于 iOS 26、iPadOS 26 和 macOS 26 及更高版本。
导入会等待解锁和你的审核。导出需要主密码，高级模式还需要 Secret Key。Private Space、Travel Mode 隐藏的分类及附件不包含在内。传输后由目标应用提供保护。
验证
证据，而非保证。
2026 年 8 月候选发布版 6.08 的验证结果，涵盖自动化测试、发布检查和安全架构评估。
365 / 365
自动化测试通过
全自动单元、集成和安全回归套件。涵盖的不变量包括：
- Argon2id 已知答案验证
- 认证加密防篡改
- 每个项目和每个附件的唯一密钥
- 重放和回滚保护
- Keychain 和生物识别故障关闭行为
- 已验证 CloudKit 导入
- 域和密钥依赖方验证
- Private Space 密钥与主保险库
- 胁迫和尝试失败处理
- 自毁和过期传播
- 第三方导入解析和重复检测
- 加密导出和中断导入恢复
- 锁定状态和生命周期数据清理
10 / 10
发布检查已通过
检查内容：
- 自动化测试
- 调试和发布版本
- 编译器诊断
- 物理设备安全流程
- 两设备同步
- 离线重新同步
- 加密导出与导入
- 文档对齐
- 残余风险审查
- 独立安全评估
独立审查
2026 年 7 月完成
2026 年 7 月完成的独立安全审查报告了强大的架构，并且在审查范围内没有发现严重漏洞。
安全评估反映的是特定时间点的情况。评估涵盖核心密码学、密钥管理和同步设计，这些内容在 2026 年 8 月版本中保持不变。此后新增的功能会通过自动化测试套件和上方列出的发布检查进行验证。
Privacy Eye
Privacy Eye 已于 2026 年 9 月 28 日完成审核。设备端面孔计数、Privacy Shield、Lock Vault、权限处理和相机画面隐私保护均按设计正常运行。
专为清晰的安全边界而设计
NoirLock 在同步期间以及App锁定时保护静态保险库数据。与所有必须显示解密信息的软件一样，它依赖于主动解锁保险库时设备的完整性。保持你的设备更新，使用强设备密码，并仅从官方分销渠道安装 NoirLock。
NoirLock 无法恢复保险库。这是故意设计的结果，其中服务不保留恢复密钥或进入保险库的特权路径。
常见问题解答
常见问题解答。
NoirLock 能访问我的保险库内容吗？
否。NoirLock 不操作保险库服务器，不接收主密码，也不持有明文保险库密钥。加密和解密发生在用户授权的设备上。
如果有人获得我的 iCloud 账户的访问权限怎么办？
私有 CloudKit 数据库包含加密的保险库记录和受保护的密钥材料。如果没有所需的 NoirLock 凭证，单独访问 iCloud 不足以解密保险库。
NoirLock 忘记的主密码可以重置吗？
NoirLock 不保留服务可访问的恢复密钥。用户应保留其 Secret Key 的经过验证的备份，并确保可通过自己的安全流程恢复其主密码。
为什么NoirLock不提供支持辅助恢复？
由服务控制的恢复机制还创建了一条可以通过账户接管或社会工程来定位的路径。 NoirLock 优先考虑用户控制的机密性，因此不保留服务可访问的恢复密钥。
Face ID 是我的加密密钥吗？
否。Face ID 或Touch ID 授权使用本地Secure Enclave 密钥以方便解锁。保险库凭据仍然是手动解锁和新设备注册的基础。
商品标题和类别是否已加密？
是的。项目标题、副标题、类别名称和标签名称存储在经过身份验证的加密有效负载内。保险库解锁后，将在内存中执行搜索。
NoirLock 是否可以离线工作？
是的。 NoirLock 是本地优先。仅当通过用户的私有 iCloud 数据库进行可选同步时才需要互联网访问。
Private Space只是一个隐藏文件夹吗？
否。Private Space 有自己的密码、自己的恢复密钥以及自己的 Argon2id 派生密钥层次结构。解锁主保险库不会派生 Private Space 所需的密钥，并且其记录不会出现在主保险库列表、搜索结果或 AutoFill 中。
文件附件是否像其他附件一样加密？
是的。附件使用与保险库机密相同的经过身份验证的每项架构，绑定到其条目，并且仅通过用户的私有 CloudKit 数据库作为加密的有效负载进行同步。
Secure Sharing 如何保持端到端加密？
通过支持有效期、查看次数限制和撤销的端到端加密链接分享条目。请选择可信的接收者，因为对方可以保留所分享信息的副本。
Privacy Eye 会录制或识别我吗？
不会。Privacy Eye 仅使用设备端人脸检测来判断是否出现另一张面孔。相机画面只保留在内存中，绝不会保存或传输，也不会进行人脸识别或身份匹配。
从另一个密码管理器导入的数据是否已发送到任何地方？
否。导入文件在设备上解析和加密。在将任何内容写入保险库之前，都会显示项目以供检查，并且可以在 10 分钟内撤消整个导入。
拥有你的秘密
围绕你最有价值的信息设计的保护。
NoirLock 结合了本地优先存储、经过身份验证的每项加密、独立的 Secret Key、零知识同步、Secure Enclave 和隔离的 Private Space — 无需广告配置文件、支持可访问的恢复密钥或专有保险库服务。
iPhone、iPad 和 Mac
技术参考
功能描述已与 2026 年 10 月 29 日的源代码核对。验证日期和范围随各项结果一同列出。